Kelp DAO đã đưa ra một tuyên bố vào thứ Hai nhằm giảm nhẹ trách nhiệm trực tiếp của mình đối với vụ tấn công trị giá 292 triệu đô la đã diễn ra vào cuối tuần qua.

Vào ngày 18 tháng 4, cầu nối chuỗi chéo Kelp DAO, được cung cấp bởi LayerZero, đã mất 116.500 token rsETH trị giá khoảng 292 triệu đô la, trở thành vụ tấn công DeFi lớn nhất từ đầu năm đến nay.

LayerZero đã báo cáo vào Chủ nhật rằng kẻ tấn công, có khả năng là Lazarus Group của Triều Tiên, đã truy cập vào danh sách các nút RPC được sử dụng bởi mạng lưới xác minh phi tập trung (DVN) của LayerZero Labs. Kẻ tấn công sau đó đã đầu độc hai nút RPC và phát động một cuộc tấn công DDoS để khiến DVN chấp nhận một thông điệp chuỗi chéo giả mạo, dẫn đến việc nó ký một giao dịch bất hợp pháp.

Trong báo cáo của mình, LayerZero đã chỉ trích cấu hình DVN 1-trên-1 của Kelp DAO, lưu ý rằng nó đã tạo ra một điểm lỗi duy nhất do thiếu xác minh độc lập cần thiết để phát hiện thông điệp chuỗi chéo gian lận.

"LayerZero và các bên bên ngoài khác trước đây đã truyền đạt các phương pháp hay nhất về đa dạng hóa DVN cho Kelp DAO," báo cáo cho biết. "Bất chấp những khuyến nghị này, Kelp DAO đã chọn sử dụng cấu hình DVN 1/1."

'Phù hợp' vào thời điểm đó

Tuyên bố mới nhất của Kelp DAO đã phản hồi cáo buộc của LayerZero, chuyển trách nhiệm về thiết lập DVN 1-trên-1 sang LayerZero.

"Thiết lập DVN 1-trên-1 là cấu hình được ghi lại trong tài liệu của LayerZero và được vận chuyển làm mặc định cho bất kỳ triển khai OFT mới nào," Kelp viết trong tuyên bố của mình trên X. "Kelp đã hoạt động trên cơ sở hạ tầng của LayerZero kể từ tháng 1 năm 2024 và đã duy trì kênh liên lạc cởi mở với nhóm LayerZero trong suốt thời gian đó."

Kelp nói thêm rằng chủ đề cấu hình DVN đã được đề cập trong quá trình mở rộng sang L2 của họ, và thiết lập mặc định đã được "xác nhận một cách dứt khoát là phù hợp" vào thời điểm đó.

"Thiết lập một tài khoản chung và chính xác về những gì đã xảy ra là nền tảng để cùng nhau khắc phục những lỗi sai," Kelp nói.

Cầu nối chuỗi chéo cũng cho biết phản ứng ban đầu của họ — bao gồm tạm dừng các hợp đồng liên quan và đưa vào danh sách đen các ví liên quan đến kẻ tấn công — đã giúp kiểm soát tình hình. Nó nói thêm rằng họ đang đánh giá các bước tiếp theo để khôi phục giao thức.

Các kịch bản nợ xấu

Trong khi đó, tác động của vụ tấn công nhanh chóng lan rộng đến giao thức Aave, khi kẻ tấn công đã gửi một phần đáng kể tài sản bị đánh cắp vào Aave V3. Kẻ tấn công đã sử dụng rsETH làm tài sản thế chấp để vay một lượng lớn WETH, làm tăng nguy cơ nợ xấu trên giao thức.

Báo cáo sự cố mới nhất của Aave cho biết kẻ tấn công đã cung cấp 89.567 rsETH (trị giá khoảng 221 triệu đô la) làm tài sản thế chấp và vay 82.650 WETH và 821 wstETH, khiến các vị thế có hệ số sức khỏe rất thấp.

Giao thức đã phác thảo hai kịch bản nợ xấu giả định dựa trên dữ liệu có sẵn, với việc Kelp chưa chính thức công bố kế hoạch phân bổ tổn thất hoặc phục hồi.

Kịch bản đầu tiên chi tiết về việc xã hội hóa tổn thất đồng nhất, giả định rằng khoảng 112.204 rsETH làm loãng nguồn cung trên tất cả các chuỗi một cách đồng đều. Điều này sẽ dẫn đến việc mất neo 15,12% và gây ra khoản nợ xấu khoảng 123,7 triệu đô la cho Aave.

"Ethereum Core chịu tổn thất tuyệt đối lớn nhất (91,8 triệu đô la), nhưng dự trữ WETH của nó đủ lớn để mức thiếu hụt vẫn ở mức 1,54%," Aave viết. "Mantle, với dự trữ WETH nhỏ nhất so với mức tiếp xúc rsETH của nó, phải chịu mức thiếu hụt 9,54%, tác động tỷ lệ cao nhất trong kịch bản này."

Kịch bản thứ hai giả định rằng các khoản lỗ được cô lập với rsETH trên L2, khiến rsETH trên mainnet Ethereum được hỗ trợ đầy đủ. Trong trường hợp này, một khoản cắt giảm giá trị 73,54% sẽ được áp dụng cho tài sản thế chấp trên L2. Điều này sẽ dẫn đến nợ xấu cao hơn là 230,1 triệu đô la trên các thị trường L2 như Mantle, Arbitrum và thị trường WETH của Base.

Trong kịch bản đầu tiên, WETH Umbrella của Aave, nắm giữ 54 triệu đô la, có thể đóng vai trò là điểm tựa ban đầu. WETH Umbrella sẽ không được kích hoạt trong kịch bản thứ hai.

"Kịch bản nào xảy ra phụ thuộc vào các quyết định ngoài tầm kiểm soát của Aave, chủ yếu là cách kế toán rsETH và tỷ giá hối đoái của LRTOracle được cập nhật," Aave nói.

Hơn nữa, Aave cho biết Aave DAO duy trì một bảng cân đối kế toán vững chắc với 181 triệu đô la tài sản, và rằng nó đã nhận được một số cam kết từ các bên tham gia hệ sinh thái để hỗ trợ giao thức trong trường hợp có nợ xấu.